In breve
Una eSIM è un chip integrato nel telefono, quindi un ladro non può estrarla: per questo un telefono rubato di solito resta connesso e può essere localizzato, bloccato o inizializzato da remoto. I truffatori possono comunque provare a impossessarsi del tuo numero, di solito convincendo il tuo operatore a trasferirlo su una SIM che controllano loro (lo SIM swapping) o inviandoti un falso link di attivazione eSIM che lo sposta sul loro telefono. Per restare protetto, imposta un PIN con il tuo operatore, usa un'app di autenticazione al posto dei codici via SMS e installa una eSIM solo dall'app o dal sito del tuo provider.
Cos'è una eSIM e come è protetta
Il nome tecnico di una eSIM è eUICC, acronimo inglese di "scheda a circuito integrato universale incorporata". È un piccolo chip a prova di manomissione già saldato nel telefono e, a differenza della SIM di plastica, non è legato a vita a un solo operatore (il tuo gestore telefonico o un provider di eSIM). Può contenere più profili di operatori diversi e scaricarne di nuovi in pochi secondi.
Questo download si chiama provisioning SIM da remoto, il processo definito nelle specifiche eSIM della GSMA. Prima che qualcosa arrivi sul telefono, il dispositivo e il server di provisioning dell'operatore si scambiano certificati e si verificano a vicenda, poi il profilo viene cifrato per quel chip specifico. Finisce nel secure element, un'area protetta del chip che il resto del software del telefono non può leggere.
I ricercatori dell'Università Aalto hanno modellato il protocollo di download della eSIM e cercato i modi in cui un attaccante potrebbe entrare. Secondo i risultati pubblicati dalla GSMA, il protocollo è adeguatamente protetto dagli hacker. Le debolezze emerse dall'analisi presuppongono tutte che il server di provisioning o il chip siano già compromessi prima del download.
eSIM e SIM fisica: cosa cambia e cosa no
Cosa succede | SIM fisica | eSIM |
|---|---|---|
Qualcuno ruba il telefono e mette la SIM nel proprio dispositivo | Possibile, la scheda si estrae | Impossibile, il chip è saldato |
Clonazione della scheda con accesso fisico | Un attacco noto sulle schede più vecchie | Nessuna scheda da estrarre o copiare |
Protezione con PIN della SIM | Sì | Sì, se il telefono lo supporta |
Cancellata quando resetti il telefono | Solo se togli la scheda | Cancellata dalle impostazioni, o conservata di proposito |
Passaggio a un nuovo telefono | Sposti la scheda | Trasferisci il profilo |
Il tuo numero e il tuo account dell'operatore | Invariati | Invariati |
La rete a cui si collega il telefono | Invariata | Invariata |
La cifratura del tuo traffico | Invariata | Invariata |
La FCC riassume chiaramente la differenza pratica nella sua guida alla eSIM: una eSIM non si può rubare senza rubare il telefono. Le SIM fisiche, invece, vengono davvero sfilate dai telefoni smarriti e usate per rubare dati personali e il tuo numero.
Le eSIM sono al sicuro da SIM swapping, phishing e altre truffe?
Una eSIM non può fermare queste truffe, e nemmeno una SIM fisica, perché prendono di mira i tuoi account e non il tuo telefono.
SIM swapping
Nello SIM swapping un truffatore si spaccia per te e convince il tuo operatore, di solito tramite il servizio clienti, a trasferire il tuo numero su una SIM che controlla lui. Da quel momento chiamate e messaggi arrivano a lui, compresi i codici monouso di banca ed email.
"Un ladro che ti prende il telefono può estrarre una SIM fisica, inserirla in un altro telefono e iniziare a ricevere le tue chiamate e i codici SMS per accedere alla banca, per l'autenticazione a due fattori e per il reset delle password. Con una eSIM, il profilo è bloccato nell'hardware sicuro del telefono. Dato che un ladro non può rimuovere la eSIM, di solito il telefono resta connesso alla rete, quindi Dov'è o Trova il mio dispositivo possono ancora localizzarlo, bloccarlo o inizializzarlo. Togliere la SIM fisica è spesso la prima cosa che fa un ladro per mettere un telefono offline."
Asım Alp, cofondatore e CTO di Roamless (oltre 15 anni nelle telecomunicazioni)
Esiste anche una variante che colpisce direttamente chi usa una eSIM. I truffatori si fingono il tuo operatore e ti chiamano o ti scrivono con un link per "attivare" una eSIM: cliccandolo, il tuo numero passa sul loro telefono.
Quanto deve verificare il tuo operatore prima di spostare il tuo numero dipende da dove vivi:
Dove | Cosa dicono le regole |
|---|---|
Stati Uniti | Nel 2023 la FCC ha adottato regole che obbligano gli operatori a verificare la tua identità in modo sicuro prima di spostare il tuo numero e ad avvisarti quando qualcuno ci prova. A luglio 2024 gli operatori hanno ottenuto più tempo per adeguarsi. |
Australia | Dal 30 giugno 2022 gli operatori devono usare verifiche a più fattori, come i tuoi dati personali più un codice monouso, prima di un cambio di SIM. Devono anche conservare la documentazione di queste verifiche per almeno un anno. |
Canada | La CRTC ha chiesto dati agli operatori sui cambi di SIM e sui trasferimenti di numero non autorizzati, nel 2020 e di nuovo nel 2023. A luglio 2026 ha modificato la procedura di trasferimento: un nuovo operatore non può attivare il tuo numero finché quello precedente non conferma il passaggio. |
Regno Unito | Nessuna regola dell'autorità di settore riguarda specificamente lo SIM swapping. Invece, a novembre 2025 gli operatori mobili hanno firmato con il governo una carta contro le frodi, impegnandosi su pratiche comuni contro il furto di account, come l'autenticazione a due fattori prima del trasferimento di un account. |
Unione europea | Non c'è una regola valida in tutta l'UE, ma alcuni Paesi, come l'Italia, hanno la propria. |
Ovunque tu sia, chiedi al tuo operatore cosa verifica prima di spostare il tuo numero su un nuovo dispositivo.
Phishing
Molte truffe iniziano con il phishing. I truffatori inviano email e messaggi che sembrano arrivare da un'azienda di cui ti fidi, come la tua banca o il tuo operatore, per ottenere password o dati dell'account. Chi fa SIM swapping usa il phishing anche con il personale degli operatori, per accedere al tuo account (FBI).
Truffe con l'IA
L'IA rende ancora più facile spacciarsi per qualcun altro. Ci sono stati casi di criminali che hanno usato voci clonate per entrare nei conti bancari delle persone e documenti d'identità falsi generati con l'IA per superare i controlli di identità (FBI).
Per proteggerti da tutte queste truffe:
Imposta un PIN o una password sul tuo account dell'operatore e non darli mai a chi ti chiama per chiederli.
Chiedi se il tuo operatore offre il blocco del numero o della portabilità, e attivalo.
Usa un'app di autenticazione al posto dei codici via SMS ogni volta che puoi, e conserva i codici di backup in un posto raggiungibile anche senza telefono.
Non aprire i link nei messaggi che non aspettavi. Vai tu sull'app o sul sito dell'azienda.
Se una chiamata ti chiede soldi o un codice, riattacca e richiama un numero che cerchi tu.
Concorda con la tua famiglia una parola o una domanda segreta, per verificare che al telefono ci siano davvero loro.
Una eSIM può essere hackerata?
In teoria sì, ma l'unico attacco pubblicato contro un chip eSIM consumer ha richiesto che gli attaccanti avessero il chip in mano.
Nel 2025 il laboratorio di ricerca Security Explorations ha violato un chip eSIM di Kigen tramite un profilo di test e ne ha estratto la chiave che identifica il chip, riuscendo così a scaricare profili eSIM degli operatori mobili.
Ma per ripetere un attacco simile servirebbero sia il chip sia i codici di accesso del profilo di test, e da allora sono state prese misure per renderlo ancora più difficile. Kigen ha corretto la falla e la GSMA ha cambiato le sue regole per bloccare la stessa strada.
Cosa può vedere il tuo provider di eSIM
Una eSIM da viaggio è un prodotto in roaming. I tuoi dati passano su una rete locale in base a un accordo di roaming e il tuo provider li instrada, il che gli dà la stessa visibilità che ha qualsiasi operatore mobile su qualsiasi cliente:
Quali celle hai usato
Più o meno quando e dove
Quanti dati hai consumato
A quali server ti sei collegato
Non vede invece i contenuti, che sono cifrati tra il tuo telefono e l'app o il sito che stai usando. Il tuo operatore di casa ha esattamente la stessa visibilità se usi le sue offerte di roaming internazionale.
Usare una eSIM per la banca e l'autenticazione a due fattori
Le eSIM da viaggio sono solo dati: non hanno un numero di telefono e non possono ricevere chiamate normali o codici via SMS.
Se vuoi che banca e password monouso (OTP) continuino a funzionare all'estero:
Tieni attiva la SIM di casa con il roaming dati disattivato, così SMS e codici monouso continuano ad arrivare sul tuo solito numero senza costi di roaming.
Imposta la eSIM da viaggio come linea per i dati cellulari.
Sposta gli account importanti su un'app di autenticazione prima di partire e salva i codici di backup.
Avvisa la tua banca che sei in viaggio, se offre questa opzione, perché un accesso da un Paese insolito può far scattare un blocco.
Se vuoi ricevere chiamate e codici SMS ovunque, a casa o all'estero, puoi anche prendere un numero di telefono che non ha bisogno né di una SIM fisica né di una eSIM.
Per la sessione bancaria vera e propria usa i dati mobili invece del WiFi pubblico. Il WiFi di aeroporti e hotel è condiviso, non gestito e facile da imitare. Il traffico cellulare è cifrato tra il tuo telefono e gli apparati dell'operatore, e non c'è una rete condivisa a cui qualcun altro possa collegarsi.
Come scegliere un provider di eSIM affidabile
Quanto puoi fidarti di un provider di eSIM conta quanto la sicurezza tecnica. Di solito dipende da quanto è trasparente e corretto su quanto ti fa pagare e su quali dati raccoglie. Inizia controllando se il provider di eSIM:
Ti dice quali reti locali usa. Copertura e velocità dipendono dalla rete, quindi è questo che stai pagando.
È chiaro sui limiti di velocità e di uso corretto, così non ti ritrovi con dati più lenti a metà viaggio senza preavviso.
Indica chiaramente quando scadono i tuoi dati. Altrimenti potresti perdere dati che hai già pagato.
Offre un servizio clienti facile da contattare e una politica di rimborso chiara, nel caso la eSIM non si installi o non si connetta.
Vende direttamente sul proprio sito o sulla propria app. Così il codice QR è nuovo e hai l'assistenza del provider.
Chiede solo i permessi dell'app di cui ha bisogno, perché qualsiasi permesso in più significa che raccoglie dati che non gli servono.
Se un provider di eSIM rende difficile trovare queste informazioni, valuta di cercarne un altro.
Un'unica eSIM globale, ovunque tu sia
Una eSIM globale Roamless copre oltre 200 destinazioni: la installi una volta e continua a funzionare mentre attraversi i confini. I tuoi Crediti non scadono mai, quindi i dati che compri sono pronti quando ti servono, a casa o al prossimo viaggio.
Domande frequenti sulla sicurezza della eSIM
Le eSIM possono essere hackerate?
Tecnicamente è possibile hackerare una eSIM, ma è molto improbabile che succeda a te. L'unico hack pubblicato di un chip eSIM consumer, opera del laboratorio di ricerca Security Explorations nel 2025, ha richiesto che gli attaccanti avessero il chip in mano e una serie di codici di accesso. Il produttore del chip, Kigen, ha poi rilasciato una patch (Security Explorations, Kigen). I rischi veri sono le truffe che prendono di mira i tuoi account, come SIM swapping e phishing, che funzionano allo stesso modo con una eSIM o con una SIM fisica.
Una eSIM può essere clonata?
Non nell'uso normale. Quando una eSIM viene scaricata, è cifrata per l'unico chip del tuo telefono. Nell'unico caso pubblicato in cui dei ricercatori hanno copiato profili eSIM, hanno prima dovuto violare un chip che avevano fisicamente in mano (Security Explorations).
Una eSIM può essere localizzata?
Non più di una SIM fisica. Qualsiasi telefono acceso e collegato a una rete mobile può essere localizzato approssimativamente dall'operatore in base alle celle che usa, a prescindere dal tipo di SIM (EFF).
Una eSIM è sicura per l'home banking?
Sì, e per questo la connessione cellulare è più sicura del WiFi pubblico. Una eSIM da viaggio solo dati non può ricevere codici via SMS, quindi tieni raggiungibile la linea di casa o sposta gli account su un'app di autenticazione prima di partire.
Ci sono motivi per non usare una eSIM?
Tre, pratici. Se il telefono si rompe, non puoi spostare un chip su un telefono di riserva come faresti con una scheda. Alcuni profili limitano il numero di reinstallazioni. E in pochi Paesi è complicato acquistarla una volta arrivati.
In quali Paesi le eSIM non sono consentite?
Le eSIM funzionano nella maggior parte dei Paesi, ma alcuni limitano il modo in cui puoi acquistarle o usarle. In Turchia i siti e le app di molti provider di eSIM internazionali sono bloccati. Le eSIM da viaggio però si collegano tramite le reti locali, quindi una eSIM installata prima di arrivare in Turchia funziona normalmente. In Russia, secondo quanto riportato, i dati mobili delle SIM straniere, eSIM comprese, vengono bloccati per 24 ore dopo l'arrivo. E i telefoni venduti nella Cina continentale supportano la eSIM solo da ottobre 2025: se hai comprato il tuo lì, controlla che supporti la eSIM.
Cosa succede alla mia eSIM se perdo il telefono o me lo rubano?
Il profilo non può essere rimosso dal telefono, e un'inizializzazione da remoto lo cancella insieme a tutto il resto, anche se puoi scegliere di mantenere la eSIM quando resetti il telefono. Chiama anche il tuo operatore per sospendere la linea, perché è all'account che punterebbe un attaccante.
Il mio provider di eSIM può vedere cosa navigo?
Vede quello che vede qualsiasi operatore mobile: volumi, orari, posizione approssimativa e server contattati. Non i contenuti, che sono cifrati tra il tuo telefono e il sito. Il tuo operatore di casa vede lo stesso quando sei in roaming.
Una eSIM è più sicura di una SIM fisica?
Contro il furto fisico sì, perché non c'è una scheda da estrarre. Per tutto il resto sono uguali, perché ciò che viene attaccato sono il tuo account dell'operatore e le tue password, e quelli non cambiano quando cambia la scheda.
Glossario
eUICC: il chip integrato su cui si trova la eSIM. L'hardware.
Secure element: la parte protetta del chip in cui sono conservate le credenziali, isolata dal resto del software del telefono.
Profilo eSIM: le credenziali dell'operatore scaricate sul chip. Ciò che rende il tuo telefono cliente di una determinata rete.
Provisioning SIM da remoto: il processo definito dalla GSMA per consegnare un profilo via etere.
IMSI: l'identità dell'abbonato che la rete usa per instradare chiamate e messaggi. È ciò che sposta uno SIM swap.
SM-DP+: il server di provisioning dell'operatore, l'indirizzo che il telefono contatta per scaricare un profilo.
TOTP: il codice a sei cifre che cambia di continuo in un'app di autenticazione, ed è il motivo per cui resiste allo SIM swapping meglio degli SMS.
